要让selinux真正发挥权限管控作用，必须启用enforcing模式，并确保内核加载、策略生效和文件上下文三者同时到位；否则服务可能启动失败或进程被静默拒绝。
要让 SELinux 在服务器上真正发挥权限管控作用，必须启用强制模式（Enforcing），且不能只改配置文件就完事——内核加载、策略生效、文件上下文正确三者缺一不可。否则服务可能启动失败、进程被静默拒绝，问题看似“没权限”，实则是安全标签没到位。
确认 SELinux 是否已加载并可用
别急着改配置，先看系统底层是否支持：
- 运行 getenforce：只返回 Enforcing、Permissive 或 Disabled；若输出 Disabled，说明内核模块根本没加载，
setenforce会直接报错 - 运行 sestatus：重点看三行：
• SELinux status 必须是 enabled（不是 disabled）
• Current mode 是当前实际运行模式
• Configured mode 是配置文件设定的模式，两者不一致说明需重启才生效 - 如果
sestatus命令不存在，先安装工具：
• RHEL/CentOS：sudo yum install policycoreutils -y
• Ubuntu/Debian：sudo apt install selinux-utils -y
临时切换到强制模式（快速验证用）
适用于已启用 SELinux 但当前是 permissive 的情况，可立刻测试策略是否影响业务：
宝塔Linux面板11.8.1
下载
宝塔Linux面板11.8.1为官网当前正式版，新增AI建站能力并经过宝塔网站工程师深度调教，开放自定义AI功能API，同时对WAF进行界面重构和深度优化，提升拦截能力与运维效率。
- 执行 sudo setenforce 1，再运行
getenforce确认输出为 Enforcing - 该操作立即生效，但重启即失效，不改动任何配置文件
- 若提示 Permission denied，说明实际处于 disabled 状态，需走永久启用流程
永久启用强制模式（生产环境标准步骤）
这是真正落地强制访问控制的关键闭环，漏一步都可能引发服务异常：
- 编辑主配置：sudo vi /etc/selinux/config，确保两行准确无误：
SELINUX=enforcingSELINUXTYPE=targeted（推荐保留默认策略类型） - 检查 GRUB 内核参数是否禁用 SELinux：
编辑/etc/default/grub，在GRUB_CMDLINE_LINUX行中移除selinux=0或enforcing=0
执行sudo grub2-mkconfig -o /boot/grub2/grub.cfg（BIOS）或对应 EFI 路径（UEFI）更新引导 - 重启前判断是否需要重标文件上下文：
若原状态为 Disabled，必须执行sudo touch /.autorelabel
重启后系统将自动遍历整个文件系统，为每个文件打上正确的安全上下文标签
验证与排障要点
重启后不能只看 getenforce，还要确认策略真正就位：
- 运行 sestatus -v，观察：
• Policy from config file 是否加载成功
• Loaded policy name 是否为 targeted - 查拦截原因最直接：
sudo ausearch -m avc -ts recent | audit2why
或直接翻/var/log/audit/audit.log中的 AVC denied 记录 - 常见现象如 httpd 启动失败、vsftpd 拒绝连接，大概率是上下文缺失或布尔值未开启，而非配置写错
